Đội Nghiên cứu và Phân tích Toàn cầu (GReAT) của hãng bảo mật Kaspersky mới đây đã công bố kết quả điều tra về Operation FlashHole, một chiến dịch gián điệp do nhóm tấn công Lazarus APT thực hiện…

Theo Kaspersky, hoạt động từ tháng 7/2025 đến nay, chiến dịch đã gây ảnh hưởng đến ít nhất 3 tổ chức, doanh nghiệp thuộc lĩnh vực xây dựng, phần mềm và sản xuất thiết bị viễn thông tại Hàn Quốc. Các đối tượng tấn công sử dụng hình thức lừa đảo có chủ đích qua email (spear-phishing), lợi dụng phần mềm CrossWeb EX hợp pháp và triển khai các phiên bản mã độc được cập nhật, trong đó có những công cụ chưa từng được ghi nhận trước đây.

Nhóm Nghiên cứu và Phân tích Toàn cầu Kaspersky GReAT còn phát hiện một làn sóng tấn công mới liên quan đến Operation SyncHole của Lazarus. Kể từ lần đầu phát hiện vào năm ngoái, nhóm tội phạm đã tiếp tục nâng cấp công cụ và kỹ thuật, khiến chiến dịch trở nên dai dẳng và tinh vi hơn.

Trong quá trình điều tra, các chuyên gia an ninh mạng phát hiện trang web trên GitHub Pages kết nối với tài khoản GitHub được sử dụng làm máy chủ điều khiển và kiểm soát (C2). Tài khoản này được tạo vào tháng 9/2025, ban đầu lưu trữ một trang web giới thiệu sơ yếu lý lịch (CV) giả mạo của một nhà phát triển thiết bị mạng cấp cao. Đây là kịch bản mồi nhử quen thuộc của chiến dịch DreamJob (Operation DreamJob) của Lazarus.

Trang web còn gắn hình ảnh do AI tạo ra, ngụy tạo một ứng viên đang tìm việc. Bên cạnh đó, tội phạm mạng còn sử dụng AI để thiết kế trang web giả mạo cho phù hợp với từng đối tượng mục tiêu. Chiến dịch “mở đường” bằng loạt email lừa đảo có chủ đích được thiết kế riêng cho từng đối tượng, chứa đường dẫn đến những trang web hồ sơ năng lực (portfolio) và CV giả mạo.

Kết quả nghiên cứu cho thấy khả năng cao việc truy cập trang web độc hại đã khởi động quá trình lây nhiễm thông qua phần mềm CrossWeb EX - một phần mềm xác thực web và tiện ích bảo mật được sử dụng rộng rãi tại Hàn Quốc. Lỗ hổng tiềm ẩn trong CrossWeb EX có thể đã trở thành điểm xâm nhập ban đầu, mở đường cho những kẻ tấn công xâm nhập hệ thống.

Đáng chú ý, trước đó cơ quan chức năng từng đưa ra thông báo xác nhận sự tồn tại lỗ hổng trong phần mềm bảo mật tài chính này. Thông qua quá trình phân tích chuyên sâu, các chuyên gia đã nhận diện được nhiều mã độc và tái hiện toàn bộ chuỗi lây nhiễm. Kết quả cho thấy kẻ tấn công sử dụng một hệ thống phát tán mã độc tinh vi cùng các kỹ thuật tinh vi nhằm che giấu hoạt động độc hại trên những hệ thống bị nhắm đến.

Kẻ tấn công kết hợp các phiên bản cập nhật của những mã độc đã sử dụng trước đây với hai công cụ chưa từng được ghi nhận: TouchHub và ClientHub. Bộ đôi này có khả năng cài đặt thêm mã độc, thực thi lệnh trên máy tính bị nhiễm và liên lạc với kẻ tấn công, phục vụ mục tiêu cuối cùng là hoạt động gián điệp mạng. Một trong hai công cụ mới còn có biến thể sử dụng dịch vụ Dropbox làm kênh liên lạc với bên điều khiển.

Chiến dịch còn tích hợp phiên bản cập nhật của LPEClient - công cụ quen thuộc của Lazarus chuyên dùng để thu thập thông tin về máy tính bị nhiễm độc và tải thêm mã độc. Phiên bản mới của LPEClient thu thập thông tin về phần mềm bảo mật đã cài đặt, các cơ chế bảo vệ của Windows và những đặc điểm khác của hệ thống. Sau đó, công cụ nén và mã hóa dữ liệu trước khi gửi đến kẻ xấu.

LPEClient phiên bản mới còn ứng dụng ML-KEM-1024 - cơ chế mật mã hậu lượng tử được thiết kế nhằm bảo vệ thông tin liên lạc trước nguy cơ bị tấn công bởi các máy tính lượng tử trong tương lai. Công cụ này dùng cơ chế trên để thiết lập kết nối mã hóa với máy chủ của kẻ tấn công, trước khi tải xuống và chạy trực tiếp mã độc bổ sung trong bộ nhớ.

Để tránh bị phát hiện, LPEClient còn tìm cách vượt qua hoạt động giám sát bảo mật bằng cách thay đổi cơ chế bảo vệ bộ nhớ và vô hiệu hóa điểm giám sát mà các công cụ bảo mật sử dụng để nhận diện, phát hiện hoạt động đáng ngờ của hệ thống.

Ông Sojun Ryu, Chuyên gia nghiên cứu bảo mật cấp cao tại Kaspersky GReAT cho biết nhóm tội phạm Lazarus tiếp tục mở rộng quy mô hoạt động, triển khai các chiến dịch mới, đồng thời phát triển công cụ mới và điều chỉnh những công cụ quen thuộc cho phù hợp với mục tiêu tấn công.

Qua phân tích về Operation FlashHole, cho thấy nhóm này đang đưa AI vào phương thức hoạt động đã được duy trì từ lâu. Đặc biệt, Lazarus đang ứng dụng các phương pháp mật mã được thiết kế để chống lại các mối đe dọa lượng tử trong tương lai. Kết quả điều tra cho thấy nhóm này đã sử dụng công nghệ này ít nhất từ tháng 9/2024.